CVE-2026-76547 — Injection d'objet PHP dans Profile Builder < 4.0.1

Chercheur : Vivien Lebas Extension affectée : Profile Builder (WordPress) Versions affectées : < 4.0.1 Corrigé dans : 4.0.1 Type : Injection d'objet PHP (désérialisation non sécurisée) CWE : CWE-502 OWASP : A8 – Désérialisation non sécurisée CVSS 3.1 : 6.6 (Moyen) — AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H WPScan : Avis vérifié

Résumé

L'add-on Import/Export de Profile Builder ne valide pas le type de données désérialisées lors de l'importation d'un fichier de configuration. Un utilisateur disposant de privilèges élevés (administrateur) peut donc déclencher une injection d'objet PHP en important un fichier JSON spécialement conçu.

L'add-on est une extension gratuite, désactivée par défaut, et Profile Builder lui-même ne fournit aucune chaîne POP (Property-Oriented Programming) exploitable. Atteindre un impact concret nécessite donc un gadget approprié provenant d'une autre extension ou d'un autre thème installé.

Composant affecté

La vulnérabilité se situe dans la fonctionnalité d'importation :

/wp-admin/admin.php?page=pbie-import-export&tab=import

Une valeur contenue dans le fichier importé est transmise à la fonction maybe_unserialize() de WordPress sans aucune vérification de type. Si la valeur est une chaîne représentant un objet sérialisé, PHP instancie la classe nommée et exécute ses méthodes magiques (__wakeup, __destruct) pendant la requête d'importation.

Prérequis

• Profile Builder installé et actif.
• L'add-on gratuit Import and Export activé dans Profile Builder > Add-ons (désactivé sur une installation standard — un administrateur doit l'activer).
• Un compte Administrateur (manage_options). Sur un multisite, l'importation est conditionnée par manage_network, un administrateur réseau/super administrateur est donc requis ; un administrateur de sous-site est refusé.
• Une classe disposant d'une méthode magique exploitable doit être chargée sur la cible pour que l'objet injecté ait un effet observable. Profile Builder n'en fournit aucune, la charge utile ci-dessous utilise donc Evil comme substitut de la classe que pourrait fournir une extension ou un thème installé.

Preuve de concept

1. Connectez-vous en tant qu'administrateur et ouvrez :

   https://victim.example/wp-admin/admin.php?page=pbie-import-export&tab=import

2. Enregistrez ce qui suit sous le nom payload.json :

   {
     "options": {},
     "posts": {
       "wppb-rf-cpt": [
         {
           "post_title": "POC",
           "post_name": "poc",
           "post_type": "post",
           "post_status": "publish",
           "postmeta": {
             "poc": ["O:4:\"Evil\":0:{}"]
           }
         }
       ]
     }
   }

3. Sélectionnez payload.json dans le champ JSON File et cliquez sur Import.

Résultat

La chaîne contenue dans la valeur postmeta est transmise à maybe_unserialize(), la classe nommée est donc instanciée et ses méthodes magiques sont exécutées pendant la requête d'importation.

Remarques

• La clé externe doit être l'une des suivantes : wppb-ul-cpt, wppb-rf-cpt ou wppb-epf-cpt, mais le type de publication réellement créé provient du champ post_type de chaque publication, le chemin est donc accessible sans licence Pro.
• L'objet désérialisé n'est pas stocké : la ligne de métadonnées résultante est vide. L'impact se limite à ce qui s'exécute pendant cette requête.

Impact

Injection d'objet PHP. Avec une chaîne de gadgets appropriée provenant d'une autre extension ou d'un autre thème installé, cela peut conduire à des actions telles que des opérations sur des fichiers ou, selon les gadgets disponibles, à une exécution de code à distance.

Remédiation

Mettez à jour Profile Builder vers la version 4.0.1 ou ultérieure.

Divulgation

Cette vulnérabilité a été divulguée de manière responsable au fournisseur et est publiée après la mise à disposition d'un correctif, à des fins éducatives et défensives.